Supervisión continua de la Dark Web

Las herramientas tradicionales de monitorización de la dark web funcionan escaneando las partes indexables de los foros y mercados de la dark web en busca de menciones de direcciones de correo electrónico, dominios y credenciales. Los datos que encuentran ya han completado un recorrido completo por el ecosistema delictivo: fueron robados en una filtración o una infección por malware, distribuidos a través de canales delictivos privados, comprados o intercambiados varias veces y, finalmente, publicados o puestos a la venta en un foro o mercado. Para cuando un escáner de la dark web los encuentra, esos datos suelen llevar semanas, meses o, en muchos casos, años en manos de delincuentes. Un análisis de 2024 sobre las principales filtraciones reveló que el tiempo medio entre el robo de datos y su aparición pública en la dark web era de más de un año. Las organizaciones que reciben una alerta de la web oscura y activan un restablecimiento de contraseña están respondiendo a un hecho pasado, no a una amenaza actual. SpyCloud recupera los datos de identidad directamente de fuentes delictivas —incluidos los registros activos de malware de robo de información, los resultados de kits de phishing y los intercambios delictivos privados— antes de que esos datos lleguen a los mercados públicos de la web oscura, lo que ofrece a los equipos de seguridad una ventana de oportunidad para actuar que la supervisión tradicional no puede proporcionar.

Los escáneres de la dark web acceden a datos que han sido indexados o publicados en foros, mercados y sitios de pegado de la dark web. Por su propia naturaleza, no pueden acceder a datos de tres categorías que representan la mayor parte del comercio delictivo activo de identidades. En primer lugar, los canales delictivos privados: los registros del malware de robo de información suelen distribuirse a través de canales privados de Telegram, foros cerrados y transacciones directas entre delincuentes que no son indexadas por ninguna herramienta de escaneo. En segundo lugar, los resultados de los kits de phishing: las credenciales recopiladas mediante campañas activas de phishing quedan en manos del operador de phishing y se venden o utilizan antes de que lleguen a publicarse. En tercer lugar, los datos de filtraciones antes de su distribución: los registros de filtraciones recién robados suelen monetizarse mediante ventas privadas a intermediarios de acceso antes de que los datos se publiquen. SpyCloud se infiltra directamente en estos canales, recuperando datos de las redes delictivas en su origen. El corpus recuperado por SpyCloud contiene ahora 65 700 millones de registros de identidad distintos, incluidos 642,4 millones de credenciales procedentes de 13,2 millones de infecciones por programas de robo de información solo en 2025, y 8 600 millones de cookies de sesión robadas que los escáneres estándar de la dark web no recogen en absoluto porque no son pares de credenciales.

La mayoría de los servicios de monitorización de la dark web se centran en las credenciales: buscan pares de nombre de usuario y contraseña vinculados a los dominios o direcciones de correo electrónico supervisados. No recopilan ni analizan de forma sistemática las cookies de sesión robadas, las huellas digitales de los dispositivos, los datos de autocompletado del navegador ni la telemetría completa procedente de infecciones por malware de robo de información. Se trata de una importante laguna en la cobertura, ya que las cookies de sesión robadas son actualmente el principal vector de ataque para eludir la autenticación. Una cookie de sesión robada proporciona al atacante una sesión ya autenticada que elude por completo las contraseñas y la autenticación multifactorial (MFA). En 2025, SpyCloud recuperó 8.6 mil millones de cookies de sesión robadas procedentes de fuentes delictivas. La cobertura de monitorización de la dark web de SpyCloud abarca credenciales, cookies de sesión, información de identificación personal (PII), huellas digitales de dispositivos y la telemetría completa de los registros del malware de robo de información, incluida la lista de todas las aplicaciones a las que se ha accedido desde un dispositivo infectado, lo cual constituye un tipo de datos categóricamente diferente al que ofrecen los servicios de monitorización de la dark web centrados en las credenciales.

Los datos de monitorización de la dark web de SpyCloud se facilitan a través de una API REST y se integran en las herramientas que ya utilizan los equipos de seguridad. Para la monitorización de credenciales empresariales, SpyCloud se integra con Active Directory Guardian, Okta Workforce Guardian y Entra ID Guardian para activar automáticamente el restablecimiento de contraseñas a los pocos minutos de confirmarse una coincidencia de exposición, sin necesidad de intervención manual por parte de los analistas. Para las plataformas SIEM y SOAR, como Splunk, Microsoft Sentinel, Elastic y Cortex XSOAR, SpyCloud envía los eventos de exposición en forma de alertas enriquecidas con el contexto de la fuente de la filtración, el tipo de credencial y la puntuación de gravedad. En el caso de las aplicaciones dirigidas al consumidor, la API de exposición de usuarios y la API de exposición de contraseñas comprueban las credenciales en tiempo real al iniciar sesión y al crear una cuenta. Para los equipos que carecen de recursos de ingeniería para desarrollar integraciones personalizadas, SpyCloud Connect ofrece un servicio de flujo de trabajo gestionado que crea, implementa y mantiene la automatización personalizada que conecta los datos de SpyCloud con cualquier herramienta de la pila de seguridad.

La fuente de datos y la metodología de detección son las mismas para ambos casos de uso. El modelo de prestación y los patrones de integración difieren. Para los equipos de productos dirigidos al consumidor que desarrollan funciones de protección de la identidad o flujos de trabajo de prevención del fraude, SpyCloud proporciona datos de supervisión a través de una API con capacidad para gestionar volúmenes a escala de consumidor, lo que permite realizar comprobaciones en línea en tiempo real durante el inicio de sesión, análisis de limpieza por lotes en conjuntos de cuentas y correlación IDLink para la detección de identidades sintéticas en el momento de la creación de la cuenta. Las implementaciones para consumidores suelen integrarse en motores de toma de decisiones sobre fraude, plataformas de autenticación o portales de alertas dirigidos a los consumidores. En el caso de los programas de seguridad empresarial, SpyCloud supervisa las identidades de empleados y contratistas comparándolas con datos recuperados de la darknet y se integra directamente en la infraestructura de IAM (gestión de identidades y accesos) para la corrección automatizada. Las implementaciones empresariales suelen incluir la integración con proveedores de identidad para restablecimientos forzados, el enriquecimiento de datos SIEM para los flujos de trabajo de los analistas y la protección de altos cargos a través de VIP Guardian para el personal directivo, cuyas cuentas personales se supervisan con controles de privacidad independientes.